如何用Ansible动态向HashiCorp Vault写入可变数量密钥？

核心修改思路 #

把原脚本中固定的data字段，替换为一个通过--extra-vars传入的动态变量，让这个变量承载所有需要存储的密钥键值对，以此适配不同服务的密钥数量需求。

修改后的Ansible脚本示例 #

假设你原有的Vault写入任务是固定键值对形式，修改后可以改成这样：

# 先做变量检查，避免空值写入
- name: 检查是否传入密钥变量
  fail:
    msg: "必须通过--extra-vars传入vault_secrets变量，包含要存储的密钥键值对"
  when: vault_secrets is not defined

# 动态写入Vault
- name: 向Vault存储动态密钥
  hashivault_write:
    path: secret/{{ service_name }}
    data: "{{ vault_secrets }}"

其中service_name也可以通过--extra-vars传入，用来指定不同服务在Vault中的存储路径。

不同服务的运行命令示例 #

针对不同服务，直接通过--extra-vars传入对应数量的密钥即可：

1. Cassandra服务（3个密钥） #

ansible-playbook your_playbook.yml --extra-vars '{"service_name": "cassandra", "vault_secrets": {"keyspace": "my_cass_keyspace", "password": "CassPass123!", "username": "cass_admin"}}'

2. RdsPostgreSql服务（2个密钥） #

ansible-playbook your_playbook.yml --extra-vars '{"service_name": "rds_postgres", "vault_secrets": {"host": "pg-prod.example.com", "port": 5432}}'

3. SSHConfig服务（1个密钥） #

ansible-playbook your_playbook.yml --extra-vars '{"service_name": "ssh_prod", "vault_secrets": {"ssh-key": "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ..."}}'

补充说明 #

• 如果偏好key=value格式传入变量（适合简单场景，复杂值如多行密钥不推荐），可以这么写：

ansible-playbook your_playbook.yml --extra-vars "service_name=ssh_prod vault_secrets='{\"ssh-key\": \"ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ...\"}'"

• 确保你的Ansible环境已正确配置Vault访问权限，比如设置VAULT_ADDR、VAULT_TOKEN环境变量，或者在playbook中通过hashivault_auth模块完成认证。

内容的提问来源于stack exchange，提问作者amitesh shukla